Modello di responsabilità condivisa

Questo Modello di responsabilità condivisa garantisce che Notion e i suoi clienti collaborino per creare un'esperienza nello spazio di lavoro sicura ed efficace.

Si prega di fare riferimento al MSA e al DPA di Notion per i termini definiti.

Notion è uno spazio unico in cui puoi pensare, scrivere e pianificare. Essendo uno spazio tutto in uno che consente agli utenti di creare i propri strumenti per svolgere al meglio il proprio lavoro, gli utenti affidano a Notion informazioni professionali e personali e, tramite Connessioni e funzionalità IA, l'accesso alle informazioni contenute in altri sistemi.

Un modello di responsabilità condivisa (SRM) è un framework che delinea la divisione delle responsabilità tra un fornitore di servizi e i suoi utenti. Definisce chiaramente quali attività di sicurezza e operative sono gestite da ciascuna parte.

Questo documento delinea le responsabilità condivise tra Notion e i suoi clienti nella protezione e nel mantenimento della sicurezza dei sistemi, degli account e degli spazi di lavoro di Notion.

Il SRM di Notion fornisce chiarezza sia a Notion che ai suoi clienti su quale parte sia responsabile di specifici processi, operazioni o controlli. Ciò consente a Notion di concentrarsi su, e assumersi la responsabilità di, le aree in cui possiamo proteggere al meglio la riservatezza, l'integrità e la disponibilità dei sistemi di Notion, identificando al contempo dove i clienti sono nella posizione migliore per proteggere i propri account, spazi di lavoro e dati dei clienti. Nel complesso, ciò migliora la sicurezza e l'efficienza nella protezione dei sistemi e degli account di Notion.

Il SRM promuove inoltre la trasparenza nel modo in cui vengono forniti i Servizi di Notion, fornendo ai Clienti le informazioni necessarie per valutare Notion all'interno dei propri processi di rischio e garanzia, e supportando sia Notion che i suoi Clienti nell'adempimento dei rispettivi obblighi ai sensi delle normative locali, regionali, nazionali e internazionali applicabili.

In breve: Notion è responsabile della creazione, del funzionamento e della protezione dell'architettura del Servizio Notion. I clienti sono responsabili del modo in cui configurano e utilizzano tale Servizio, inclusa la protezione delle proprie credenziali, la gestione di chi ha accesso ai propri spazi di lavoro e ai dati dei clienti, e l'adesione alla Policy su contenuti e utilizzo e ad altri Termini pertinenti.

Alcune responsabilità descritte in questo documento possono essere svolte solo dai clienti con permessi elevati in uno spazio di lavoro o in un'organizzazione. È responsabilità dell'utente assegnare tali autorizzazioni in modo appropriato.

Gli strumenti disponibili per soddisfare una determinata responsabilità variano in base al piano. Laddove una funzionalità sia limitata a specifici Piani di abbonamento, i Clienti con Piani di abbonamento privi di tale funzionalità rimangono responsabili del risultato sottostante e dovrebbero prendere in considerazione controlli alternativi.

Notion fornisce i metodi di autenticazione e i controlli amministrativi che regolano le modalità di accesso delle Persone a Notion e le modalità di concessione e revoca dell'accesso allo spazio di lavoro. I clienti sono responsabili della selezione e della configurazione dei controlli appropriati per la propria organizzazione e della protezione delle credenziali utilizzate per accedere ai propri account.

Responsabilità di Notion

• Fornire e gestire metodi di autenticazione, inclusi email e password, accesso tramite Google e Apple e single sign-on SAML 2.0 per gli spazi di lavoro sui piani Business ed Enterprise.

• Fornire l'autenticazione a due fattori per gli account che accedono con una password, utilizzando un metodo di autenticazione o un codice inviato tramite messaggio di testo.

• Fornire API SCIM che consentano alle organizzazioni Enterprise di automatizzare la creazione, l'aggiornamento e la rimozione degli Utenti dal proprio identity provider.

• Fornire controlli amministrativi che regolino la durata della sessione, il logout forzato, la reimpostazione della password, la sospensione dell'account e la verifica del dominio.

• Richiedere una prova verificata della proprietà del dominio prima che un dominio possa essere utilizzato per controllare il modo in cui la sua base utenti accede a Notion.

• Revocare l'accesso di un utente ai Dati del Cliente quando tale utente viene rimosso dallo spazio di lavoro. Fornire controlli che consentano a un'organizzazione di terminare le sessioni e reimpostare le credenziali in tutta la sua base utenti gestita.

• Mantenere controlli di accesso basati sul principio del privilegio minimo in tutta l'infrastruttura di Notion e richiedere che i dipendenti e i collaboratori di Notion siano vincolati da obblighi di riservatezza.

• Accedere ai Dati del Cliente per scopi di assistenza solo laddove un utente o il proprietario dello spazio di lavoro abbia concesso il consenso, e far scadere tale consenso automaticamente dopo un periodo definito.

Responsabilità dell'utente

• Proteggere le credenziali di accesso, utilizzare password complesse e univoche ed evitare il riutilizzo su altri servizi.

• Mantenere account individuali anziché account condivisi e non condividere le informazioni di accesso.

• Utilizzare l'autenticazione a due fattori sugli account che accedono con una password.

• Aggiornare le credenziali in linea con la politica interna e tempestivamente qualora venga identificata una violazione delle credenziali esterne.

• Selezionare e configurare i metodi di autenticazione appropriati per l'organizzazione, compresa l'eventuale imposizione del single sign-on.

• Garantire che l'accesso allo spazio di lavoro sia limitato agli utenti previsti e che l'accesso venga rimosso tempestivamente quando qualcuno se ne va o cambia ruolo. Il deprovisioning automatizzato richiede SCIM; laddove non sia in uso, la rimozione è un processo manuale.

• Impostare la durata della sessione in linea con la politica interna e mantenere una procedura di ripristino in caso di perdita dell'accesso all'identity provider.

• Controllare se l'assistenza di Notion può accedere a un account o a uno spazio di lavoro e revocare tale accesso quando non è più richiesto.

Notion fornisce il modello di autorizzazioni che determina ciò che un utente autenticato può vedere e fare, insieme ai controlli amministrativi che definiscono i limiti per la condivisione. I clienti sono responsabili di decidere come tale modello viene applicato ai propri Dati del Cliente e di verificare l'accesso che ne deriva.

Responsabilità di Notion

• Fornire un modello di autorizzazioni operante a livello di spazio di lavoro, teamspace, pagina e database, inclusi i gruppi di autorizzazione, e applicarlo in modo coerente in tutto il prodotto.

• Fornire un accesso distinto per membri e ospiti, in modo che ai collaboratori esterni possa essere concesso l'accesso a specifici Dati del Cliente anziché a un intero spazio di lavoro.

• Fornire controlli amministrativi che consentano a un'organizzazione di limitare la condivisione pubblica delle pagine, l'accesso degli ospiti, l'esportazione e lo spostamento o la duplicazione di pagine in altri spazi di lavoro.

• Fornire controlli che regolino chi può pubblicare Dati del Cliente sul web, inclusi Notion Sites, moduli e /link pubblici.

• Fornire strumenti di visibilità che consentano a un'organizzazione di identificare chi ha accesso a una pagina, quali pagine sono condivise esternamente o pubblicate sul web, e di modificare tali autorizzazioni.

• Rispettare le autorizzazioni dello spazio di lavoro configurate quando si forniscono funzionalità di IA e ricerca.

Responsabilità dell'utente

• Determinare il livello di accesso appropriato per i Dati del cliente e applicare le autorizzazioni di conseguenza.

• Decidere se la collaborazione esterna e la pubblicazione pubblica siano consentite e configurare i controlli disponibili per riflettere tale decisione.

• Comprendere come viene ereditato l'accesso. L'accesso concesso a una pagina si estende per impostazione predefinita alle pagine nidificate al suo interno e l'accesso concesso tramite più percorsi si risolve al livello più alto concesso.

• Revisionare periodicamente l'accesso, inclusi membri dello spazio di lavoro, ospiti, gruppi di autorizzazione, Dati del Cliente condivisi esternamente e Dati del Cliente pubblicati sul web.

• Rimuovere l'accesso ai Dati del Cliente quando termina il coinvolgimento di un collaboratore, inclusi ospiti e collaboratori esterni il cui accesso non è gestito tramite il provider di identità dell'organizzazione.

• Garantire che i Dati del Cliente pubblicati sul web siano destinati a un pubblico generico e configurare di conseguenza opzioni come l'indicizzazione dei motori di ricerca.

• Trasferire i Dati del Cliente detenuti privatamente da un utente prima che tale utente parta, o entro la finestra limitata durante la quale il trasferimento rimane possibile. Dopo tale finestra, i Dati del Cliente privati sono generalmente irrecuperabili e gli strumenti di trasferimento sono disponibili solo nel piano Enterprise.

Notion archivia ed elabora i Dati del Cliente per conto dei propri Clienti e li protegge durante il transito e l'archiviazione. I Clienti determinano quali dati inserire in Notion, per quanto tempo conservarli e quali obblighi legali vi siano associati.

Responsabilità di Notion

• Elaborare i Dati del cliente in conformità con il Contratto quadro di abbonamento, l'Addendum sul trattamento dei dati e la legge applicabile sulla protezione dei dati.

• Crittografare i Dati del cliente archiviati utilizzando AES-256 o un algoritmo standard del settore che offra una sicurezza equivalente o superiore, inclusi archiviazione cloud, tabelle di database e backup, e crittografare i dati in transito utilizzando TLS 1.2 o versioni successive.

• Mantenere e pubblicare un elenco aggiornato dei subprocessori.

• Offrire la residenza dei dati per categorie definite di Dati del cliente, consentendo alle organizzazioni idonee di selezionare la regione in cui tali dati vengono archiviati.

• Astenersi dall'utilizzare i Dati del cliente per allenare i modelli di apprendimento automatico di Notion e vietare contrattualmente ai subprocessori dell'IA di farlo senza l'esplicito consenso del cliente.

• Fornire funzionalità che consentano ai Clienti di esportare, conservare ed eliminare i propri Dati del cliente, ed eliminare i Dati del cliente al termine del contratto in conformità con l'accordo.

• Stipulare un Addendum sul trattamento dei dati e, ove applicabile, un Business Associate Agreement con i clienti che ne richiedono uno.

Responsabilità dell'utente

• Determinare quali dati sia appropriato archiviare in Notion e garantire che i dati regolamentati vengano archiviati solo laddove siano in vigore gli accordi e la configurazione necessari.

• Stabilire e applicare pratiche di conservazione ed eliminare i Dati del cliente che non sono più necessari.

• Configurazione delle impostazioni di conservazione ed eliminazione disponibili nel prodotto per riflettere la politica interna.

• Invio di Dati dell'account completi e accurati e correzione tempestiva degli stessi laddove vengano identificati errori.

• Adempimento degli obblighi che spettano al titolare dei dati personali conservati in uno Spazio di lavoro, inclusa la fornitura di informazioni sulla privacy agli individui, la definizione di una base giuridica per il trattamento e la risposta alle richieste degli interessati relative ai Dati del cliente.

• Determinazione dell'eventuale necessità di una specifica regione di residenza dei dati, richiesta della stessa ove necessario e comprensione di quali categorie di dati e quali prodotti Notion esulino da tale ambito.

• Revisione dell'elenco dei subprocessori di Notion.

Notion gestisce l'infrastruttura che mantiene il Servizio disponibile e mantiene backup di tale infrastruttura allo scopo di ripristinare il Servizio. I Clienti sono responsabili del ripristino dei propri Dati del cliente utilizzando gli strumenti forniti da Notion e della conservazione di una copia indipendente di tali Dati del cliente laddove i propri obblighi ne richiedano una.

Responsabilità di Notion

• Gestire il Servizio Notion in conformità con gli impegni di disponibilità stabiliti nei Termini del livello di servizio, utilizzando un'infrastruttura ridondante in più zone di disponibilità.

• Pubblicare lo stato operativo del Servizio.

• Mantenere backup automatizzati, crittografati e monitorati dei Dati del cliente.

• Archiviare i backup in base alla mappatura delle regioni di backup pubblicata di Notion per la regione di residenza dei dati selezionata. La residenza dei dati si applica solo alle categorie definite di Dati del cliente.

• Mantenere e testare periodicamente i piani di ripristino di emergenza e di continuità operativa.

• Fornire strumenti di ripristino nel prodotto, inclusi Cestino e cronologia delle versioni, che consentano ai Clienti di ripristinare autonomamente i Dati del cliente.

• Fornire funzionalità di esportazione che consentano ai Clienti di ottenere una copia dei propri Dati del cliente.

Responsabilità dell'utente

• Recupero di singole pagine e Dati del cliente utilizzando il Cestino e la cronologia delle versioni, entro i periodi di conservazione applicabili al piano dell'Utente.

• Configurazione delle impostazioni di conservazione dei Dati del cliente, ove disponibili, per riflettere la politica interna.

• Mantenimento di una copia indipendente dei Dati del cliente laddove la politica interna, gli impegni contrattuali o le normative richiedano una conservazione superiore a quella fornita dal prodotto, o richiedano una copia conservata al di fuori di Notion.

• Produzione di esportazioni secondo una pianificazione appropriata a tali requisiti e verifica della completezza delle esportazioni. I Dati del cliente a cui l'account di esportazione non può accedere non sono inclusi in un'esportazione.

• Recupero delle esportazioni entro il periodo in cui il link di scarica rimane valido.

• Pianificazione dell'eventualità di indisponibilità del servizio come parte dei propri accordi di continuità operativa dell'Utente.

Cosa sono e cosa non sono i backup di Notion

I backup di Notion esistono per ripristinare il Servizio Notion. Non sono un punto di ripristino rivolto al cliente e non possono essere utilizzati per riportare uno Spazio di lavoro al suo stato in un momento scelto nel tempo. Il recupero dei singoli Dati del Cliente viene eseguito dai Clienti tramite il cestino e la cronologia delle versioni. Una volta che i Dati del Cliente hanno superato i periodi di cestino e conservazione applicabili, vengono eliminati e non possono essere ripristinati. I Clienti non dovrebbero fare affidamento sull'assistenza come meccanismo di conservazione.

Un'esportazione produce una copia portatile dei Dati del Cliente in formati come HTML, Markdown, CSV o PDF, a seconda del tipo di esportazione e del piano. Non si tratta di un backup completo dello Spazio di lavoro: l'importazione dei Dati del Cliente esportati non ricreerà le autorizzazioni, le impostazioni o la configurazione completa originali dello Spazio di lavoro e potrebbe richiedere una ristrutturazione manuale.

Notion genera registri dell'attività rilevante all'interno di uno Spazio di lavoro e li rende disponibili all'organizzazione. I Clienti sono responsabili della recensione di tali registri, della loro conservazione laddove richiesto e dell'intervento su ciò che mostrano.

Responsabilità di Notion

• Registrare gli eventi relativi alla sicurezza e alla protezione che si verificano negli Spazi di lavoro di un'organizzazione, inclusi l'attore, l'azione, l'ora e, ove disponibile, l'indirizzo IP.

• Conservare la cronologia del registro di controllo all'interno del prodotto per un periodo definito e fornire meccanismi di esportazione e streaming in modo che i Clienti possano conservarla più a lungo.

• Fornire un mezzo per trasmettere gli eventi alla piattaforma di monitoraggio della sicurezza dell'Utente in tempo reale e fornire assistenza alle connessioni agli strumenti di prevenzione della perdita di dati.

• Monitorare l'infrastruttura, le reti e i sistemi di Notion per attività dannose e mantenere il registro interno per tali sistemi.

Responsabilità dell'utente

• Revisionare l'attività del registro di controllo, indagare e intervenire su attività che appaiono impreviste o non autorizzate.

• Conservare i dati di registro per il periodo richiesto dalla politica interna o dalla normativa del Cliente, esportando o trasmettendo gli eventi prima che superino la finestra di conservazione.

• Configurare il monitoraggio, gli avvisi e qualsiasi connessione di sicurezza o conformità nell'ambiente dell'Utente, assicurandosi che tali integrazioni rimangano operative.

• Definizione di ciò che costituisce attività sospetta nel contesto dell'organizzazione e assegnazione della responsabilità per la sua revisione.

• Segnalazione di attività sospette a Notion laddove possano indicare una compromissione del Servizio.

Cosa copre e cosa non copre il registro di controllo

Il registro di controllo registra gli eventi. Le voci di registro e i payload trasmessi descrivono le azioni intraprese e da chi; non contengono i Dati del Cliente delle pagine.

La registrazione del registro di controllo inizia quando un'organizzazione diventa idonea per la funzionalità. L'attività avvenuta in precedenza non è disponibile retrospettivamente.

Notion sviluppa, gestisce e mantiene il Servizio Notion e l'infrastruttura su cui viene eseguito, inclusa la messa in sicurezza e l'applicazione di patch a tale infrastruttura. I Clienti sono responsabili degli ambienti da cui accedono a Notion.

Responsabilità di Notion

• Sviluppare, testare, applicare patch e mantenere l'applicazione Notion e l'infrastruttura che la supporta. Gli aggiornamenti al Servizio vengono applicati da Notion e non richiedono alcuna azione da parte dei Clienti.

• Conduci la modellazione delle minacce e le revisioni della progettazione sicura per le nuove versioni ed esegui audit del codice, revisioni del codice e scansioni di sicurezza della base di codice.

• Commissiona test di penetrazione indipendenti annuali.

• Implementa e gestisci la sicurezza di rete nei sistemi di Notion.

• Monitora l'infrastruttura, le reti e le risorse di Notion per attività dannose.

• Gestisci un programma di divulgazione delle vulnerabilità pubblico e commissiona test di penetrazione indipendenti.

• Proteggi i sistemi aziendali di Notion e i dispositivi dei dipendenti, inclusa la crittografia a riposo, l'endpoint detection and response e la gestione centralizzata dei dispositivi.

• Pubblica le applicazioni client Notion e fornisci loro gli aggiornamenti.

Responsabilità dell'utente

• Mantenimento di ambienti endpoint compatibili con e adeguatamente patchati, inclusi i browser web e qualsiasi controllo che possa impedire gli aggiornamenti del client Notion.

• Protezione dei dispositivi e delle reti utilizzati per accedere a Notion, in linea con gli standard di sicurezza degli endpoint dell'Utente.

• Laddove gli aggiornamenti del client Notion siano gestiti centralmente, assicurati che gli aggiornamenti continuino a essere applicati in modo tempestivo. Differire o disabilitare gli aggiornamenti automatici trasferisce all'Utente la responsabilità dell'applicazione tempestiva delle patch al client.

• Assicurati che le configurazioni di installazione non impediscano agli Utenti di ricevere gli aggiornamenti.

• Segnala le vulnerabilità sospette nel Servizio Notion a Notion invece di sfruttarle o divulgarle pubblicamente.

Dove si trova il confine

Notion applica le patch al Servizio Notion. I clienti non applicano patch a Notion e non è richiesta alcuna azione da parte del cliente per gli aggiornamenti lato server.

Le applicazioni client sono diverse. Notion pubblica gli aggiornamenti, ma se un determinato dispositivo li riceve dipende da come tale dispositivo è configurato e gestito. Laddove un'organizzazione gestisce il comportamento di installazione o aggiornamento, mantenere i client aggiornati è responsabilità dell'organizzazione.

Notion fornisce un'API, una piattaforma di integrazione e funzionalità di IA che possono agire sui Dati del Cliente e accedere ai sistemi connessi. I clienti sono responsabili della decisione su quali di queste abilitare, quale accesso concedere loro e come vengono governate.

Responsabilità di Notion

• Fornisci e mantieni l'API di Notion, la piattaforma di integrazione, le connessioni e le funzionalità di IA.

• Rispetta i permessi utente in Notion AI, Notion Agent e AI Connectors. Gli agenti personalizzati utilizzano i propri permessi concessi esplicitamente, che potrebbero differire da quelli della persona che interagisce con l'agente.

• Fornisci controlli amministrativi che regolano quali integrazioni e strumenti di IA esterni possono essere installati, quali agenti possono essere creati e se le funzionalità di IA sono abilitate.

• Fornire controlli per abilitare o disabilitare la ricerca web tramite IA e richiedere una conferma prima di effettuare richieste web esterne.

• Mantenere difese progettate per rilevare e ridurre il rischio di iniezione di prompt, inclusa la rilevazione di istruzioni nascoste in contenuti di terze parti e file caricati, restrizioni sulla gestione dei /link e controlli aggiuntivi laddove gli agenti agiscono in modo autonomo.

• Astenersi dall'utilizzare i Dati del Cliente per allenare i modelli di Notion e vietare contrattualmente ai subprocessori IA di farlo senza l'esplicito consenso del cliente.

• Registrare l'attività di integrazione, connessione, agente e strumento IA esterno nel registro di controllo.

Responsabilità dell'utente

• Decidere quali integrazioni, connessioni, funzionalità IA e agenti siano appropriati per l'organizzazione e configurare i controlli disponibili per riflettere tale decisione.

• Esaminare l'accesso e le funzionalità richieste da un'integrazione o connessione prima di autorizzarla e confermare che il servizio di terze parti soddisfi i requisiti del fornitore dell'Utente.

• Gestire i token di integrazione interni, inclusa la limitazione della loro distribuzione, la loro rotazione e la revoca di quelli non più necessari.

• Governare la creazione e la configurazione degli agenti, inclusi i Dati del Cliente e gli strumenti connessi a cui ogni agente può accedere, ed esaminare periodicamente tale accesso.

• I Clienti devono assicurarsi che i permessi degli agenti siano limitati in modo appropriato.

• Determinare se i modelli che conservano i dati possono essere abilitati per le funzionalità che li richiedono.

• Assicurarsi che i Dati del Cliente resi disponibili a Notion tramite sistemi connessi siano appropriati per tale scopo e che l'accesso concesso nel sistema connesso sia a sua volta correttamente limitato.

• Informare gli Utenti che i Dati del Cliente provenienti dall'esterno dello Spazio di lavoro, incluse pagine web e file caricati, potrebbero tentare di influenzare il comportamento dell'IA.

Cosa i Clienti dovrebbero sapere sui dati connessi

L'accesso concesso tramite una connessione è limitato quanto i permessi concessi nel sistema connesso. Notion applica i permessi segnalati dal sistema connesso, ma non corregge i permessi eccessivamente ampi del sistema di origine.

Le modifiche ai permessi nei sistemi connessi vengono riflesse in Notion dopo un intervallo di sincronizzazione anziché immediatamente, e i Dati del Cliente aggiunti o eliminati di recente potrebbero richiedere del tempo per apparire o diventare non disponibili.

Notion è responsabile della sicurezza del servizio Notion e di notificare i clienti qualora un incidente riguardi i loro dati del cliente. I clienti sono responsabili del modo in cui rispondono agli incidenti che coinvolgono i propri account, spazi di lavoro e dati del cliente, incluse eventuali notifiche che sono tenuti a effettuare.

Responsabilità di Notion

• Mantenere un piano di risposta agli incidenti documentato e testarlo periodicamente.

• Rilevare, classificare, indagare, contenere e porre rimedio agli incidenti di sicurezza che interessano i sistemi di Notion e i Dati del Cliente detenuti da Notion.

• Notificare i clienti interessati in merito agli incidenti di sicurezza in conformità con l'Addendum sul trattamento dei dati e la legge applicabile.

• Condurre una revisione post-incidente, inclusa l'analisi delle cause principali, e applicare i risultati ai controlli e al piano di risposta di Notion.

• Pubblica lo stato operativo del servizio e comunica gli incidenti di disponibilità.

• Gestire un programma di divulgazione delle vulnerabilità, nonché effettuare il triage e la risoluzione delle vulnerabilità segnalate.

Responsabilità dell'utente

• Segnalare tempestivamente a Notion, tramite il canale appropriato, sospetti incidenti di sicurezza, account compromessi, sospette vulnerabilità e uso improprio del servizio.

• Rilevare e rispondere agli incidenti che si verificano all'interno degli spazi di lavoro e degli account dell'Utente, incluse credenziali compromesse, condivisione inappropriata e uso improprio da parte di Utenti interni.

• Mantenere i propri accordi di risposta agli incidenti dell'utente e definire chi è responsabile di intervenire sulle attività identificate in Notion.

• Adottare misure di contenimento disponibili all'interno del prodotto, tra cui la rimozione dell'accesso, la revoca delle sessioni, il ripristino delle credenziali, la revoca dei token di integrazione e il ritiro dei dati del cliente pubblicati.

• Preservare le prove pertinenti, inclusa l'esportazione del registro di controllo prima che esca dalla finestra di conservazione.

• Determinare se un incidente fa scattare un obbligo di notifica dovuto dall'Utente a un ente regolatore, un cliente o un individuo interessato, ed effettuare tale notifica.

• Mantenere aggiornati i dettagli di contatto amministrativi e di sicurezza, affinché le notifiche di Notion raggiungano le persone giuste.

• Segnalare le vulnerabilità sospette a Notion invece di sfruttarle o divulgarle pubblicamente.

Quale parte rileva cosa

Notion monitora la propria infrastruttura ed è in grado di rilevare incidenti che interessano il Servizio. Notion non può determinare se un'azione altrimenti valida nello spazio di lavoro sia stata autorizzata secondo le politiche interne dell'Utente. I clienti sono responsabili del monitoraggio dell'attività dello spazio di lavoro e della risposta a eventuali usi impropri.

Ciò include incidenti come un membro che pubblica i dati del cliente riservati, un dipendente in uscita che esporta dati o l'uso improprio delle credenziali da parte del legittimo titolare. Il rilevamento e la risposta a tali eventi dipendono dalla recensione dei registri delle attività e dei controlli a disposizione dell'Utente.

Notion mantiene un programma di sicurezza delle informazioni e privacy sottoposto a audit indipendente e rende disponibile la relativa documentazione. I Clienti determinano se Notion è appropriato per i propri obblighi normativi e lo configurano di conseguenza.

Responsabilità di Notion

• Mantenere programmi di sicurezza e privacy valutati in modo indipendente in conformità con i cicli di audit e certificazione applicabili.

• Rendere la documentazione di conformità, inclusi rapporti di audit e certificazioni, disponibile ai clienti e ai potenziali clienti tramite il Notion Trust Center.

Responsabilità dell'utente

• Determinare se Notion è adatto per i dati che l'Utente intende archiviare e per gli obblighi normativi ad esso applicabili.

• Stipulare gli accordi obbligatori per tale utilizzo, inclusi un Data Processing Addendum o un Business Associate Agreement, ove applicabile.

• Applicare la configurazione obbligatoria prevista da tali accordi, inclusa l'abilitazione di eventuali impostazioni specifiche per la conformità e delle funzionalità di sicurezza da cui dipendono.

• Completamento delle valutazioni proprie dell'Utente, inclusa la valutazione del rischio del fornitore e qualsiasi valutazione di impatto sulla protezione dei dati richiesta dalla legge.

• Revisione delle certificazioni, dei rapporti di audit e dell'elenco dei subprocessori di Notion come parte dei processi di garanzia e gestione del cambiamento propri dell'Utente.

• Dimostrare ai propri revisori e autorità di regolamentazione che la configurazione e l'utilizzo di Notion da parte dell'Utente soddisfano gli obblighi ad essi applicabili.

Cosa copre la certificazione

Le certificazioni di terze parti indipendenti e i rapporti di audit di Notion coprono i controlli gestiti da Notion. Non si estendono al modo in cui una singola organizzazione configura o utilizza Notion.

Uno spazio di lavoro che contiene dati regolamentati non è conforme per il solo fatto che Notion detiene una certificazione. Laddove un obbligo dipenda dalla configurazione, come limitare la condivisione, imporre il single sign-on, conservare i registri di audit o limitare il luogo in cui i dati vengono archiviati, il suo adempimento rimane responsabilità dell'Utente.

Notion stabilisce i termini in base ai quali il servizio può essere utilizzato e li applica. I Clienti sono responsabili del proprio utilizzo di Notion e dei Dati del Cliente conservati nei loro spazi di lavoro.

Responsabilità di Notion

• Pubblica e mantieni la Content & Use policy, i Termini pertinenti e le relative policy.

• Fornire un meccanismo affinché chiunque visualizzi una pagina pubblica di Notion possa segnalare i Dati del Cliente che ritiene proibiti.

• Indagare sulle segnalazioni e rimuovere i Dati del Cliente o limitare l'accesso laddove venga identificata una violazione.

• Applicare un maggiore controllo alle categorie di utilizzo associate a tassi più elevati di abuso e sospendere o interrompere l'accesso ove necessario per proteggere la disponibilità del Servizio.

Responsabilità dell'utente

• Utilizzare Notion in conformità con i Termini e la Content & Use Policy, e garantire che le Persone che utilizzano Notion nell'ambito dell'abbonamento dell'Utente facciano lo stesso.

• Garantire che i Dati del Cliente archiviati in, condivisi da o pubblicati tramite Notion siano conformi a tali policy e alla legge applicabile.

• Moderare i Dati del Cliente forniti da altri laddove l'Utente distribuisca Dati del Cliente generati dagli utenti tramite Notion.

• Utilizzare Notion entro la sua capacità prevista e non tentare di aggirare, disabilitare o interferire con i suoi controlli di sicurezza.

• Condurre qualsiasi test di sicurezza di Notion solo tramite il programma di divulgazione delle vulnerabilità di Notion e secondo i suoi termini.

• Utilizzare i canali di supporto e segnalazione in buona fede.